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Oggetto: contributo dell’associazione Centro Studi di Informatica Giuridica di Ivrea Torino 
Gentili Signori, 


Nel complimentarci per la preziosa consultazione pubblicata con guidelines 
7/2020(https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-072020- 
concepts-controller-and-processor it) sottoponiamo alla Vostra attenzione alcune osservazioni attinenti in 
particolare ai ruoli privacy rivestiti, nel contesto dei Clinical Trials, dallo Sponsor (promotore) e 





dall’Investigator (Centro di Ricerca), esempio impiegato, a pag. 21 del documento, per chiarire il concetto di 
contitolarità. Per comodità distingueremo l’esempio nelle sue tre parti. 


1. l’Investigatore (azienda sanitaria) e lo Sponsor (università), entrambi decidono di lanciare una 
sperimentazione, collaborano insieme alla stesura del protocollo di studio: quindi possono essere 
considerati contitolari in quanto congiuntamente determinano lo scopo e i mezzi del trattamento. 

2. La raccolta dei dati personali dalle cartelle cliniche del paziente per lo scopo di ricerca deve essere 
distinto dall’archiviazione e uso degli stessi dati per lo scopo di cura del paziente per cui l'ospedale 
rimane titolare. 

3. Nel caso in cui il PI non partecipi alla stesura del protocollo in quanto accetta il protocollo già 
elaborato dallo sponsor ed il protocollo è definito esclusivamente dallo sponsor il PI dovrebbe essere 
considerato responsabile e lo sponsor come titolare del trattamento del Trial clinico. 


La nostra associazione condivide questo punto di vista in punto contitolarità, in quanto descrive bene la 
realtà degli studi. Si osserva tuttavia che non viene descritto lo scenario della titolarità autonoma che 
richiederebbe un approfondimento. Al riguardo, infatti, appare poco coerente che la struttura clinica, che, 
cura, perda poi tale titolarità in relazione allo scopo di ricerca, acquisendo la diversa natura di responsabile, 
in relazione agli stessi dati. Tale mutamento di ruolo si giustifica poco, anche considerando il fatto che la 
struttura Azienda Sanitaria, anche qualora non partecipi alla stesura del protocollo, nell’aderire allo stesso 
non compie una attività di trattamento delegato, ma si associa ad un insieme di trattamenti di cui condivide 
la finalità (derivata) di ricerca. 


Si suggerisce inoltre di approfondire i compiti e responsabilità del Titolari nell’ambito della sperimentazione 
clinicasotto il profilo del trasferimento di dati extra Ue nel caso in cui il titolare abbia sede negli Stati Uniti 


Tali approfondimenti sarebbero particolarmente apprezzati dagli operatori . 


Hanno partecipato al presente contributo Alessandra Migliore, Mauro Alovisio, Ivan Tosco, Stefano 


Tresoldi e Nicola Di Mare 


Gli autori del presente contributo hanno partecipato a titolo personale e non impegnano i relativi studi 


legali ed enti. 


Torino, 19 ottobre 2020 


